Header Ads Widget

Ticker

6/recent/ticker-posts

Apple: las aplicaciones de carga lateral socavarán la seguridad de iOS

 

Tras las declaraciones del CEO Tim Cook sobre seguridad  en una conferencia reciente, Apple ha salido a luchar para proteger la seguridad de su modelo de distribución de la App Store, publicando un documento técnico que argumenta que la carga lateral forzada de aplicaciones haría que la plataforma, y ​​sus usuarios, estén lejos. menos seguro.

La seguridad no es simple
Es un argumento que tiene sentido. Cualquiera que esté involucrado en la seguridad empresarial ya sabe que el mayor problema de seguridad en cualquier negocio son las personas en el negocio. Los seres humanos cometemos errores, y las generaciones actuales de piratas informáticos y piratas informáticos se han vuelto bastante buenos identificando y atacando a las personas para ayudar a crear fisuras en la seguridad de objetivos más grandes.

El argumento de Apple, que permitir la carga lateral sin restricciones de aplicaciones de tiendas de terceros crearía una nueva superficie de ataque, tiene mucho sentido. Sin embargo, la legislación que se está considerando actualmente en la UE y en otros lugares propone que la carga lateral sea obligatoria.

Realmente no debería suceder.

Sin embargo, ¿qué pasa con la Mac?
Algunos argumentan que esto no es diferente del modelo de seguridad en Mac, que permite la instalación de aplicaciones desde una variedad de fuentes. Sabemos que la plataforma se ha convertido en un objetivo cada vez más atractivo a medida que crece su adopción.

Apple no está de acuerdo en que la Mac deba verse como una plantilla para la distribución de aplicaciones de iOS. Argumenta no solo que la plataforma iOS es 10 veces más grande que la Mac, sino que hay una diferencia en cómo usamos estas plataformas:

  • Los usuarios de iPhone descargan aplicaciones de forma regular, lo que amplía el tamaño de la superficie de ataque.
  • Los usuarios de Mac tienden a instalar solo las aplicaciones que necesitan.
  • También apunta a la gran cantidad de datos personales exclusivos que los teléfonos inteligentes recopilan en caso de que la seguridad se vea comprometida. La ubicación, las conexiones, los contactos, las búsquedas en sitios web, los documentos, los datos, los datos bancarios y cualquier otro fragmento de la vida se recopilan sobre estas cosas.



La naturaleza de estos datos es tanto personal como de amplio alcance, superando la información recopilada en Mac. Significa que aquellos que logran tomar sus datos de su dispositivo móvil pueden construir una imagen completa de su patrón de vida.

“Creo que lo que hemos construido y lo que estamos ofreciendo a los usuarios ahora es uniformemente mejor, porque podemos enfocarnos en esa superficie de ataque más pequeña y nuestras protecciones más fuertes para ayudar a mantener a los usuarios seguros”, dijo un  representante de Apple .

Al mismo tiempo, la compañía ha dicho que ve la seguridad de Mac  en su forma actual  como un problema .

Que proporciona el modelo de la App Store
Con el objetivo de proteger al usuario y al ecosistema, la App Store de Apple ofrece análisis de malware automatizados, examina las descripciones de las aplicaciones y las funciones para detectar falsedades y revisa los datos a los que acceden las aplicaciones. También se asegura de que el software dirigido a niños cumpla con un estándar de protección más alto.

Los críticos señalan los errores de Apple como evidencia de que no siempre consigue esta protección correctamente, pero al hacerlo también prueban el alcance del problema que existe. Si Apple no estuviera controlando sus plataformas, ¿cuál sería la situación?

Afortunadamente, ya conocemos la respuesta.

Android, aunque adopta una seguridad más similar a la de Apple, tiene 15 veces más infecciones de malware que el iPhone. En parte, esto se debe a que las aplicaciones de Android se pueden descargar de varias fuentes.

A principios de este año, Apple publicó datos que, según afirma, ilustran la magnitud del desafío de seguridad. En 2020, la compañía revisó alrededor de 100,000 aplicaciones cada semana y rechazó / eliminó casi un millón de aplicaciones problemáticas. Aproximadamente el 10% de ellos fueron eliminados por intención delictiva, mientras que el 20% violó las pautas de privacidad.

Es un gran negocio
El libro blanco de Apple cita una investigación que muestra que las aplicaciones pirateadas publicadas en sitios de terceros cuestan a los desarrolladores miles de millones en ingresos cada año. Pero la distribución de aplicaciones pirateadas no es el negocio más importante para confiar en modelos de seguridad de plataforma laxos. Esas firmas en la sombra que venden soluciones de desbloqueo de iPhone a las fuerzas del orden están ganando mucho dinero con sus hazañas, pero incluso su bonanza es eclipsada cuando se trata del dinero que se puede ganar con el malware .

Los datos de Apple reflejan la magnitud de esto. La compañía ha expulsado a 470.000 equipos del Programa de Desarrolladores de Apple por fraude. También ha rechazado 205.000 intentos de inscripción dudosos.

Otra faceta del crimen moderno de Apple es que las revisiones de aplicaciones se utilizan para ayudar a generar confianza en aplicaciones que pueden ser fraudulentas o de intención criminal. Reflejando la magnitud de esto, Apple dijo que desactivó 244 millones de cuentas de clientes debido a actividades fraudulentas y abusivas, incluidas las reseñas falsas. También rechazó 424 millones de intentos de crear nuevas cuentas de clientes debido a lo que denomina "patrones fraudulentos y abusivos".

La importancia de todos estos datos debe quedar clara. No se trata de ver lo que Apple ha hecho para proteger a sus clientes y sus plataformas, sino de ilustrar la escala de la marea contra la que sus baluartes ya nos protegen.

Qué pasa si…?
En el caso de que la descarga en plataformas iOS se volviera obligatoria, habría una oportunidad comercial instantánea para que decenas de miles de desarrolladores malintencionados crearan aplicaciones fraudulentas diseñadas para robar sus datos, reforzadas por millones de reseñas falsas.

"Los actores malintencionados aprovecharían la oportunidad al dedicar más recursos para desarrollar ataques sofisticados dirigidos a los usuarios de iOS, ampliando así el conjunto de exploits y ataques armados, a menudo denominados" modelo de amenaza ", contra los que todos los usuarios deben protegerse. ”Dijo Apple.

Esto debilitaría rápidamente la seguridad de la plataforma y haría vulnerables a los usuarios. Hacerlo también socavará la seguridad empresarial , desatando una nueva oleada de malware en las plataformas de Apple en detrimento eventual de todas las empresas y todos los clientes, ya que el ransomware se multiplica.

Sabemos que esto sucederá porque ya sucedió : la seguridad en todas las plataformas está bajo ataque e insistir en que una plataforma se vuelva menos segura por diseño desatará el caos en todas las empresas que atraviesan la transformación digital.

La historia no es una plantilla
Después de todo, el mero hecho de que otras plataformas permitan la descarga lateral no significa que sea la decisión correcta. Refleja los modelos de distribución de aplicaciones que existían en una era mucho menos conectada en red, cuando el software se enviaba en paquetes, en CD y en disquetes.

Puedo recordar al menos un incidente en el que el editor de una revista distribuyó inadvertidamente un disco de portada que contenía demostraciones de software que también contenían malware. La evolución relativamente reciente de la distribución de aplicaciones en Internet reflejó esos modelos de distribución, pero ¿es realmente un enfoque viable cuando miles de millones de usuarios se vuelven vulnerables a ser engañados para descargar aplicaciones maliciosas?

Yo diría que la carga lateral de aplicaciones debería verse como una anomalía histórica inevitable. Refleja una época en la que los riesgos eran menores, los mercados más pequeños y la información recopilada por los dispositivos más limitada. El flagelo del malware en todas las plataformas que lo permiten debería ser una prueba suficiente, y no se detendrá a medida que las plataformas continúen proliferando.

Hoy tienes una opción
Tal como están las cosas, tienes una opción. Puedes elegir plataformas que permitan la descarga lateral, con todo el riesgo que ello conlleva. O puede elegir la plataforma seleccionada de Apple, que es la opción correcta para cualquiera que desee la mejor privacidad y seguridad. Sin duda, es la opción adecuada para los usuarios empresariales preocupados por la seguridad.

El debilitamiento de esos modelos con sideloading amplificará el riesgo en toda la empresa móvil. Debido a que los humanos son el eslabón más débil, e incluso si cada empresa exige fuentes de descarga de aplicaciones oficiales, habrá uno o dos que ignorarán ese consejo.

Y cuando se trata de infectar los sistemas de su empresa con gusanos, troyanos o pequeñas puertas traseras para permitir la exfiltración de datos, solo se necesita un exploit exitoso para socavar la seguridad del perímetro.

¿Qué sucede si se aplica la carga lateral?
Si los gobiernos obligan a Apple a apoyar la descarga lateral, puede estar seguro de que los malos actores utilizarán todas las herramientas de su arsenal para aprovechar la oportunidad. Sus enfoques creativos abarcarán ataques de phishing altamente dirigidos , sitios de descarga de aplicaciones falsas y entornos de desarrollo infestados de malware , todos reforzados por una red de revisiones aparentemente genuinas diseñadas para tranquilizar a los usuarios sospechosos de que estas parodias son seguras.

El alcance de estos ataques sería tan vasto que la gente recordará la increíble explosión de malware que afectó a Windows e Internet Explore a finales de los 90 como una edad dorada de la seguridad de las aplicaciones. No lo fue .

Apple responderá, por supuesto, pero el daño estará hecho y el resultado será que ningún usuario, ninguna empresa, ningún gobierno ni ninguna industria volverán a ser tan seguros.

¿Quién se beneficia de eso? Nadie.

Publicar un comentario

0 Comentarios